CVE-2026-11780
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Wtyczka Quiz and Survey Master dla WordPressa do wersji 11.2.1 włącznie jest podatna na Stored Cross-Site Scripting przez parametr 'question_title' z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie współautora mogą wstrzyknąć dowolne skrypty, które wykonają się przy dostępie do zainfekowanej strony.
Ocena ryzyka
Ryzyko obejmuje przejęcie sesji użytkowników, kradzież danych i kompromitację witryny. Atak wymaga jednak konta współautora, co ogranicza dostęp.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji. Należy również ograniczyć uprawnienia użytkowników i stosować zasadę najmniejszych uprawnień.
Oryginalny opis (angielski, źródło NVD)
The Quiz and Survey Master (QSM) – Easy Quiz and Survey Maker plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'question_title' parameter in all versions up to, and including, 11.2.1 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.